مصوّر إنتروبيا الملفات الثنائية

ما الذي تخبرك به الإنتروبيا

تقيس إنتروبيا شانون مدى عدم القابلية للتنبؤ بسلسلة من البايتات، على مقياس من 0 (كل البايتات متطابقة) إلى 8 بتات لكل بايت (بايتات عشوائية قدر الإمكان). تحسب هذه الأداة الإنتروبيا عبر نافذة منزلقة على امتداد الملف بأكمله وترسمها كرسم بياني خطي، لترى بلمحة أين تتغير "عشوائية" الملف.

• قريبة من 8: عادة بيانات مضغوطة، بيانات مشفّرة، أو شيفرة محزومة/مبهمة بالفعل — علامة يبحث عنها محللو الهندسة العكسية عند فحص ملف ثنائي غير مألوف.
• بين 4 و6.5 تقريبًا: نموذجية للشيفرة القابلة للتنفيذ أو البيانات العامة.
• قريبة من 0: حشو، فجوات محاذاة، أو سلاسل طويلة من قيمة بايت واحدة (غالبًا صفر).

تراكب الأقسام

عندما تتعرف هذه الأداة على صيغة الملف — ELF أو PE (ويندوز) أو Mach-O (ماك/آي أو إس) أو WebAssembly — فإنها تعيد استخدام محلّلات الصيغ الخاصة بالموقع والتي تم التحقق منها لتراكب النطاق الفعلي لبايتات كل قسم أو مقطع خلف منحنى الإنتروبيا، لترى بالضبط أي قسم مضغوط، وأيها يحتوي على شيفرة، وأيها حشو. يظهر هذا التراكب فقط عندما يتم اكتشاف الصيغة بثقة و يتم تحليلها بنجاح؛ في ملف غير معروف أو يمكن تحليله جزئيًا فقط، ستظل تحصل على رسم إنتروبيا كامل، فقط دون سياق الأقسام — وتوضح الأداة ذلك بصراحة بدلًا من التظاهر بغير ذلك.

اختيار حجم النافذة

تستجيب النافذة الأصغر (64–256 بايت) بسرعة للمناطق القصيرة ذات الإنتروبيا العالية، مثل مورد مضغوط مضمّن داخل ملف تنفيذي بسيط في باقي أجزائه، مقابل رسم بياني أكثر ضوضاءً. تُنعّم النافذة الأكبر (1–4 كيلوبايت) المنحنى، وهي أفضل لنظرة عامة شاملة على الملف بأكمله.

استخدامات نموذجية

اكتشف قسمًا محزومًا أو مبهمًا في ملف تنفيذي مشبوه، تحقق من أن مورد ضغط في عملية بناء ما حصل بالفعل على إنتروبيا عالية، أو ببساطة استكشف مدى "عشوائية" أجزاء مختلفة من ملف ما.

الخصوصية

كل شيء يحدث محليًا داخل متصفحك باستخدام JavaScript. الملف الذي تختاره لا يُرفع إلى أي مكان أبدًا.